쿠팡 개인정보 유출 사고 이후, 개인정보보호법 과징금 상한이 전체 매출의 10%까지 올라갔습니다.

“와 빡세다. 그런데 쿠팡 같은 대기업에나 적용되는 이야기 아닌가?”

스타트업이라면 이렇게 생각하기 쉽습니다. 실제로 매출 10% 과징금은 모든 개인정보 사고에 적용되는 기준도, 모든 회사가 당장 걱정해야 할 숫자도 아닙니다.

그런데 쿠팡 사고 이후 바뀐 법에는 스타트업도 9월 11일부터 바로 챙겨야 할 내용이 들어 있습니다.

• 대표가 개인정보 보호의 최종책임자로 명시됩니다.
• 고객정보가 밖으로 빠져나가지 않고 값만 바뀌거나 삭제돼도 사고 대응 대상이 될 수 있습니다.
• 실제 유출이 확인되기 전에도 일정한 가능성을 발견하면 고객에게 알려야 할 수 있습니다.

그래서 이번 개정을 “과징금이 3%에서 10%로 올랐다”고만 이해하면, 정작 우리 회사가 지금 바꿔야 할 것을 놓칠 수 있습니다.

이 글에서는 9월 11일 전까지 스타트업이 개인정보 보호 체계와 관련해 무엇을 확인하고, 무엇을 정비해야 하는지 살펴보도록 하겠습니다.

과징금 전체 매출 10%인데, 왜 사고 대응 문서부터 열어봐야 할까요?

이번 개정에서 대부분의 스타트업이 먼저 확인해야 할 것은 ‘우리 회사는 개인정보 사고를 어떻게 발견하고, 보고하고, 알리고 있는가’입니다. 9월 11일부터 회사 규모와 관계없이 달라지는 내용은 세 가지입니다.

1. 대표가 개인정보 보호의 최종책임자로 명시됩니다

개인정보 관리를 개발자나 운영 담당자 한 명이 맡고, 대표는 사고가 난 뒤에야 보고받는 회사가 적지 않습니다. 그러나 9월 11일부터는 사업주 또는 대표자가 개인정보 보호의 최종책임자라고 법에 명시됩니다(제30조의3).

• 담당자를 지정했다고 해서 대표의 역할이 끝나는 게 아니라는 뜻입니다. 사고가 나면 누가 대표에게 보고하는지, 예산이나 인력이 필요할 때 누가 결정하는지까지 포함해 보고 체계를 정비해야 합니다.
• 다만 ‘최종책임자’라는 표현이 대표 개인에게 과징금이나 형사책임을 자동으로 부과한다는 의미는 아닙니다. 구체적인 책임 여부는 별도로 판단해야 합니다.

2. 앞으로는 고객정보가 밖으로 나가지 않았어도 ‘사고’일 수 있다고요?

그렇습니다. 누군가 고객 데이터베이스의 값을 바꿨는데 외부로 빠져나간 흔적은 없다고 가정해 보겠습니다. 기존 사고 대응 문서가 ‘외부 유출’만 다룬다면 이 사건을 어떻게 처리해야 할지부터 막막해집니다. 이제 개정법은 분실·도난·유출뿐 아니라 위조·변조·훼손까지 ‘유출 등’이라는 사고 범주로 묶습니다(제23조 제2항, 제34조 제1항).

• 앞으로는 정보가 밖으로 나갔는지 확인할 뿐 아니라, 값이 바뀌거나 지워진 경우에도 사고 대응 절차가 작동할 수 있도록 기존 지침과 절차를 점검해야 합니다.

3. 아직 유출이 확인되지 않았는데도 고객에게 알려야 한다고요?

경우에 따라 그렇습니다. 서버 로그에서 낯선 접속 기록을 발견했지만 실제로 어떤 정보가 빠져나갔는지는 확인되지 않은 상황을 생각해 볼 수 있습니다. 개정법은 유출이 확정되기 전이라도 일정한 ‘유출등의 가능성’을 알게 되면 그 가능성이 있는 정보주체에게 지체 없이 알려야 한다고 정했습니다(제34조 제2항).

• 다만 어떤 징후부터 ‘유출등의 가능성’으로 볼 것인지는 시행령에서 구체화됩니다. 법에서 알림 의무를 먼저 만들고, 실제 알림을 시작할 기준은 시행령에 맡긴 셈입니다.

개인정보 유출 과징금 ‘전체 매출의 10%’는 언제 적용되나요?

원칙적인 과징금 상한은 그대로 ‘전체 매출의 3%’입니다. ‘전체 매출의 10%는 다음 세 가지 가중 요건 중 하나에 해당할 때 적용될 수 있는 별도 상한입니다.

1. 과징금 부과처분을 받은 뒤 3년 안에 같은 유형의 위반을 고의 또는 중대한 과실로 반복한 경우
2. 고의 또는 중대한 과실로 법을 위반해 1천만 명 이상에게 피해를 입힌 경우
3. 개인정보보호위원회의 시정조치 명령을 따르지 않아 개인정보 유출등에 관한 위반이 발생한 경우

여기서 놓치기 쉬운 점이 있습니다. 두 번째 요건에는 이전 위반 전력이 필요하지 않습니다. 처음 발생한 개인정보 사고라도 고의 또는 중대한 과실이 있고 피해자가 1천만 명 이상이라면 10% 가중 규정이 적용될 수 있습니다. 따라서 “첫 사고니까 10%는 적용되지 않겠지”라고 단정해서는 안 됩니다.

대부분의 스타트업에게 당장 10% 기준의 대응 체계를 짤 필요는 크지 않을 것입니다. 그러나 기본 과징금 규정은 ‘작은 회사’라는 이유로 예외를 적용하지 않습니다. 매출이 없거나 매출액 산정이 곤란한 경우의 정액 과징금 상한도 일반 규정은 20억 원, 10% 가중 규정은 50억 원으로 다릅니다. 매출이 적다는 이유만으로 개인정보 사고의 부담도 작다고 볼 수는 없습니다.

📍9월 11일 전, 스타트업은 무엇을 확인하면 될까요?

다섯 가지를 확인하시면 좋습니다. 지금 확인할 세 가지와 시행령 공포 후 확정할 두 가지로 나눠보도록 하겠습니다.

지금 확인할 3가지

1. 대표까지 이어지는 보고 체계를 정비합니다. 누가 개인정보 사고를 처음 확인하고, 누구에게 어떤 방식으로 보고할지 정리합니다. 대표가 최종책임자라는 점도 내부 담당자와 공유합니다.
2. 사고의 정의를 넓힙니다. 사고 대응 지침이 ‘외부 유출’만 다룬다면 분실·도난·위조·변조·훼손까지 함께 반영합니다.
3. 문서의 조문 번호를 확인합니다. 개인정보 처리방침, 사고 대응 지침, 수탁사 계약서 등이 개정 전 조문을 인용하고 있지는 않은지 확인합니다.

시행령 공포 후 확정할 2가지

1. ‘가능성 단계’의 알림 기준을 확정합니다. 지금은 보고 절차와 담당자를 먼저 정하고, 어떤 징후가 발생했을 때 고객에게 알려야 하는지는 시행령이 공포되면 반영합니다.
2. 우리 회사가 규모 기준에 해당하는지 확인합니다. 개인정보 보호책임자(CPO)의 이사회 의결·신고와 ISMS-P 인증 의무에는 매출과 개인정보 처리 규모 등에 따른 별도 기준이 적용됩니다. 구체적인 대상 기준은 입법예고안에 제시됐을 뿐 아직 확정되지 않았고, ISMS-P 의무 조항은 2027년 7월 1일부터 시행될 예정입니다.

우리 팀의 보고 체계와 사고 대응 문서를 점검하세요

이번 개정을 ‘과징금이 3%에서 10%로 올랐다’고만 이해하면 정작 바꿔야 할 것을 놓칠 수 있습니다. 10%는 일정한 가중 요건을 충족했을 때의 상한입니다. 반면 회사 규모에 상관없이 개정법에 의해 대표까지 이어지는 보고 체계, 사고 대응 문서에 반영해야 할 ‘유출등’의 범위, 유출 가능성을 발견했을 때의 알림 절차를 정비해야 합니다.

9월 11일 전에는 우리 회사의 사고 대응 체계가 이번 개정에 맞게 작동할 수 있는지 확인해 두는 것이 좋습니다.

이미 유출이나 변조 정황을 확인한 상태라면 문서 정비보다 통지·신고 의무와 기한을 확인하는 것이 먼저입니다. 지체 말고 행동하시길 바랍니다.

📍 참고한 글

• 국가법령정보센터, 「개인정보 보호법」(법률 제21445호, 2026. 3. 10. 공포 / 2026. 9. 11. 시행), https://www.law.go.kr/LSW/lsInfoP.do?efYd=20260911&lsiSeq=283839&ancYd=20260310&ancNo=21445
• 연합뉴스, 「쿠팡 개인정보유출 후폭풍…'매출 10%' 징벌적 과징금 도입계기」, 2026. 6. 12., https://www.yna.co.kr/view/AKR20260611118700530
• 비즈니스포스트, 「통신3사 CEO "예방 보안체계로 다 바꿔", '매출 10% 과징금' 개정 개인정보법 시행 앞서 투자 속도」, 2026. 8. 11., https://www.businesspost.co.kr/BP?command=article_view&num=444454

법무법인 임팩터스는 스타트업의 개인정보 처리방침과 사고 대응 절차를 함께 점검하고, 개정법에 맞는 대응 방향을 설계합니다.
우리 회사의 사고 대응 체계, 어떻게 정비할지 검토가 필요하다면 임팩터스에 문의하세요.

➡️ 임팩터스에게 문의하기